Дата публикации:Fri, 23 Dec 2022 11:37:24 +0300
Опубликован выпуск пакетного фильтра nftables 1.0.6, унифицирующего интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов (нацелен на замену iptables, ip6table, arptables и ebtables). В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком.
Непосредственно правила фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в ядре в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters). Подобный подход позволяет значительно сократить размер кода фильтрации, работающего на уровне ядра и вынести все функции разбора правил и логики работы с протоколами в пространство пользователя.
Основные изменения:
- В оптимизаторе правил, вызываемом при указании опции "-o/--optimize", налажена автоматическая упаковка правил через их объединение и преобразование в map- и set-списки. Например, правила
# cat ruleset.nft
table ip x {
chain y {
type filter hook input priority filter; policy drop;
meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 accept
meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4 accept
meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.3.0/24 accept
meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.4.0-2.2.4.10
accept
meta iifname eth2 ip saddr 1.1.1.3 ip daddr 2.2.2.5 accept
}
}
после выполнения "nft -o -c -f ruleset.nft" будут преобразованы в следующим образом:
ruleset.nft:4:17-74: meta iifname eth1 ip saddr 1.1.1.1 ip
daddr 2.2.2.3 accept
ruleset.nft:5:17-74: meta iifname eth1 ip saddr 1.1.1.2 ip
daddr 2.2.2.4 accept
ruleset.nft:6:17-77: meta iifname eth1 ip saddr 1.1.1.2 ip
daddr 2.2.3.0/24 accept
ruleset.nft:7:17-83: meta iifname eth1 ip saddr 1.1.1.2 ip
daddr 2.2.4.0-2.2.4.10 accept
ruleset.nft:8:17-74: meta iifname eth2 ip saddr 1.1.1.3 ip
daddr 2.2.2.5 accept
into:
iifname . ip saddr . ip daddr { eth1 . 1.1.1.1 . 2.2.2.3, eth1 .
1.1.1.2 . 2.2.2.4, eth1 . 1.1.1.2 . 2.2.3.0/24, eth1 . 1.1.1.2 .
2.2.4.0-2.2.4.10, eth2 . 1.1.1.3 . 2.2.2.5 } accept
Оптимизатор также может преобразовывать в более компактную форму правила, в которых уже используются простые set-списки, например правила:
# cat ruleset.nft
table ip filter {
chain input {
type filter hook input priority filter; policy drop;
iifname "lo" accept
ct state established,related accept comment "In traffic we
originate, we trust"
iifname "enp0s31f6" ip saddr { 209.115.181.102,
216.197.228.230 } ip daddr 10.0.0.149 udp sport 123 udp dport 32768-65535 accept
iifname "enp0s31f6" ip saddr { 64.59.144.17, 64.59.150.133 }
ip daddr 10.0.0.149 udp sport 53 udp dport 32768-65535 accept
}
}
после выполнения "nft -o -c -f ruleset.nft" будут упакованы следующим образом:
ruleset.nft:6:22-149: iifname "enp0s31f6" ip saddr {
209.115.181.102, 216.197.228.230 } ip daddr 10.0.0.149 udp sport 123 udp dport
32768-65535 accept
ruleset.nft:7:22-143: iifname "enp0s31f6" ip saddr {
64.59.144.17, 64.59.150.133 } ip daddr 10.0.0.149 udp sport 53 udp dport
32768-65535 accept
into:
iifname . ip saddr . ip daddr . udp sport . udp dport {
enp0s31f6 . 209.115.181.102 . 10.0.0.149 . 123 . 32768-65535, enp0s31f6 .
216.197.228.230 . 10.0.0.149 . 123 . 32768-65535, enp0s31f6 . 64.59.144.17 .
10.0.0.149 . 53 . 32768-65535, enp0s31f6 . 64.59.150.133 . 10.0.0.149 . 53 .
32768-65535 } accept
Решена проблема с генерацией байткода для слияния интервалов, в которых применяются типы с разным порядком следования байтов, например IPv4 (сетевой порядок следования байтов) и meta mark (системный порядок следования байтов).
table ip x {
map w {
typeof ip saddr . meta mark : verdict
flags interval
counter
elements = {
127.0.0.1-127.0.0.4 . 0x123434-0xb00122 : accept,
192.168.0.10-192.168.1.20 . 0x0000aa00-0x0000aaff :
accept,
}
}
chain k {
type filter hook input priority filter; policy drop;
ip saddr . meta mark vmap @w
}
}
Налажено сопоставления редких протоколов при использовании raw-выражений, например:
meta l4proto 91 @th,400,16 0x0 accept
Решены проблемы с включением правил с интервалами:
insert rule x y tcp sport { 3478-3497, 16384-16387 } counter accept
Улучшен API JSON, в котором появилась поддержка выражений в set- и map-списках.
В расширениях к python-библиотеке nftables разрешена загрузка наборов правил для обработки в режиме проверки ("-c") и добавлена поддержка внешнего определения переменных.
В элементах set-списков разрешено добавление комментариев.
В byte ratelimit разрешено указания нулевого значения.
Новость позаимствована с opennet.ru
Ссылка на оригинал: https://www.opennet.ru/opennews/art.shtml?num=58378